基本介紹
- 外文名：Trojan-Downloader.win32.IEheap.Gen
- 公開範圍： 完全公開
- 危害等級： 2
- 病毒類型： 木馬
基本信息,行為分析,
基本信息
病毒名稱： Trojan-Downloader.win32.IEheap.Gen
病毒類型： 木馬
檔案 MD5： 649153D5E4AE4C5172A7B121B74E224F
公開範圍： 完全公開
危害等級： 2
檔案長度： 20,480 位元組
感染系統： windows98以上系統
開發工具： Microsoft Visual C++ 6.0
加殼類型： 無
命名對照： 驅逐艦[無]
BitDefender [無]
行為分析
1、病毒運行後衍生病毒檔案到系統目錄下：
%WINDIR%\f2.exe
%system32%\advport.dll
%system32%\idirk.dll
%system32%\jyxkc.dll
%system32%\rundllfromwin2000.exe
%system32%\score.txt
2、修改註冊表，添加啟動項，以達到隨開機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\
鍵值: 字串: "System"="C:\Program Files\Common Files\System\Updaterun.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\
LEGACY_DATEING\0000\Control\
鍵值: 字串: "ActiveService"="DATEING"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_DATEING\0000\
鍵值: 字串: "DeviceDesc"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_DATEING\0000\
鍵值: 字串: "Legacy"="1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_DATEING\0000\
鍵值: 字串: "Service"="DATEING"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\
鍵值: 字串: "Description"="提供安全的網路和撥號連線服務，
記錄區域網路和遠程連線通訊的目標機器信息。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\
鍵值: 字串: "DisplayName"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\Enum\
鍵值: 字串: "0"="Root\LEGACY_DATEING\0000"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "Description"="啟用 Windows 的系統監視器，
保護 Windows 的程式正常運行。無法終止此服務。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "DisplayName"="Event Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "ErrorControl"="1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\Parameters\
鍵值: 字串: "ServiceDll"="C:\WINDOWS\system32\jyxkc.dll"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\msqmx\
鍵值: 字串: "ImagePath"="C:\WINDOWS\system32\drivers\msqmx.sys"
3、連線網路，在系統根目錄下新建資料夾TDdownload，並下載病毒檔案到此資料夾中：
下載地址：http://file2.unionsms.net/kuzhan/kuzhansetup.exe
IP：58.211.7.36:80
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案
%WINDIR%\f2.exe
%system32%\advport.dll
%system32%\idirk.dll
%system32%\jyxkc.dll
%system32%\rundllfromwin2000.exe
%system32%\score.txt
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\
鍵值: 字串: "System"="C:\Program Files\Common Files
\System\Updaterun.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root
\LEGACY_DATEING\0000\Control\
鍵值: 字串: "ActiveService"="DATEING"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root
\LEGACY_DATEING\0000\
鍵值: 字串: "DeviceDesc"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root
\LEGACY_DATEING\0000\
鍵值: 字串: "Legacy"="1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root
\LEGACY_DATEING\0000\
鍵值: 字串: "Service"="DATEING"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\
鍵值: 字串: "Description"="提供安全的網路和撥號連線服務
，記錄區域網路和遠程連線通訊的目標機器信息。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\
鍵值: 字串: "DisplayName"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DATEING\Enum\
鍵值: 字串: "0"="Root\LEGACY_DATEING\0000"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "Description"="啟用 Windows 的系統監視器，
保護 Windows 的程式正常運行。無法終止此服務。"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "DisplayName"="Event Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\
鍵值: 字串: "ErrorControl"="1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\License\Parameters\
鍵值: 字串: "ServiceDll"="C:\WINDOWS\system32\jyxkc.dll"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\msqmx\
鍵值: 字串: "ImagePath"="C:\WINDOWS\system32\drivers\msqmx.sys"
